怎么写网络小说,遮天,欢乐颂

工具介紹

capa 檢測可執行文件中的功能。您針對 PE、ELF、.NET 模塊或 shellcode 文件運行它，它會告訴您它認為該程序可以做什么。例如，它可能表明該文件是后門、能夠安裝服務或依賴 HTTP 進行通信。

工具使用針對未知二進制文件 ( suspicious.exe) 運行 capa，該工具報告該程序可以發送 HTTP 請求、通過 XOR 和 Base64 解碼數據、安裝服務并生成新進程。總而言之，這讓我們認為這suspicious.exe可能是一個持久的后門。因此，我們的下一個分析步驟可能是在沙箱中運行suspicious.exe并嘗試恢復命令和控制服務器。通過傳遞-vv標志（非常詳細），capa 準確報告在哪里找到了這些功能的證據。這至少有兩個原因：

它有助于解釋為什么我們應該相信結果，并使我們能夠驗證結論，并且

它顯示了經驗豐富的分析師可以使用 IDA Pro 研究二進制文件中的哪些位置

$ capa.exe suspicious.exe -vv
...
execute shell command and capture output
namespace   c2/shell
author      matthew.williams@mandiant.com
scope       function
att&ck      Execution::Command and Scripting Interpreter::Windows Command Shell [T1059.003]
references  https://docs.microsoft.com/en-us/windows/win32/api/processthreadsapi/ns-processthreadsapi-startupinfoa
function @ 0x4011C0
  and:
    match: create a process with modified I/O handles and window @ 0x4011C0
      and:
        number: 257 = STARTF_USESTDHANDLES | STARTF_USESHOWWINDOW @ 0x4012B8
        or:
          number: 68 = StartupInfo.cb (size) @ 0x401282
        or: = API functions that accept a pointer to a STARTUPINFO structure
          api: kernel32.CreateProcess @ 0x401343
    match: create pipe @ 0x4011C0
      or:
        api: kernel32.CreatePipe @ 0x40126F, 0x401280
    optional:
      match: create thread @ 0x40136A, 0x4013BA
        or:
          and:
            os: windows
            or:
              api: kernel32.CreateThread @ 0x4013D7
        or:
          and:
            os: windows
            or:
              api: kernel32.CreateThread @ 0x401395
    or:
      string: "cmd.exe" @ 0x4012FD
...

capa 使用一組規則來識別程序中的功能。這些規則很容易編寫，即使對于逆向工程新手來說也是如此。通過編寫規則，您可以擴展 capa 識別的功能。在某些方面，capa 規則是 OpenIOC、Yara 和 YAML 格式的混合。

以下是 capa 使用的規則示例：

rule:
  meta:
    name: hash data with CRC32
    namespace: data-manipulation/checksum/crc32
    authors:
      - moritz.raabe@mandiant.com
    scope: function
    mbc:
      - Data::Checksum::CRC32 [C0032.001]
    examples:
      - 2D3EDC218A90F03089CC01715A9F047F:0x403CBD
      - 7D28CB106CB54876B2A5C111724A07CD:0x402350  # RtlComputeCrc32
      - 7EFF498DE13CC734262F87E6B3EF38AB:0x100084A6
  features:
    - or:
      - and:
        - mnemonic: shr
        - or:
          - number: 0xEDB88320
          - bytes: 00 00 00 00 96 30 07 77 2C 61 0E EE BA 51 09 99 19 C4 6D 07 8F F4 6A 70 35 A5 63 E9 A3 95 64 9E = crc32_tab
        - number: 8
        - characteristic: nzxor
      - and:
        - number: 0x8320
        - number: 0xEDB8
        - characteristic: nzxor
      - api: RtlComputeCrc32